Azure VPN Client auf dem Mac: DNS-Server in das Profil legen

DNS für den Azure VPN Client unter macOS steckt in der importierten Profil-XML. Bearbeiten, importieren und neu verbinden, dann den Resolver-Pfad getrennt prüfen.

Auf macOS werden drei verschiedene Fragen mit demselben Schulterzucken beantwortet. Welcher Client ist das? Woher kommen seine DNS-Server? Und warum schlägt ein kurzer Name immer noch fehl, obwohl die Einstellung vorhanden ist? Sie haben getrennte Antworten, und nur die erste betrifft die Profildatei. Wer die Reihenfolge richtig hält, macht aus einem vagen DNS-Problem einen einzigen prüfbaren Schritt nach dem anderen.

Klären, welchen Client Sie konfigurieren

Dies ist Microsofts Azure VPN Client, der OpenVPN für Punkt-zu-Standort-Zugriff nutzt. Seine XML ist kein natives macOS-IKEv2-Profil und auch keine Konfigurationsdatei für jeden OpenVPN-Client von Drittanbietern.

Wenn der Mac über den integrierten Systemdialog verbindet, sind Sie im falschen Dokument.

DNS steckt in der Profil-XML

Laden Sie das aktuelle Profil für das vorgesehene Gateway und die Authentifizierungsmethode herunter und bewahren Sie vor jedem Eingriff eine unveränderte Kopie auf. Bearbeiten Sie nur die Arbeitskopie, und tragen Sie deren Authentifizierungsmaterial nicht in ein Support-Ticket ein.

Die Anleitung für optionale Einstellungen legt die DNS-Einträge in ein clientconfig-Element. Ein minimales Fragment sieht so aus, mit einer Adresse, die Ihre Organisation tatsächlich betreibt.

<clientconfig>
    <dnsservers>
        <dnsserver>10.20.2.4</dnsserver>
    </dnsservers>
</clientconfig>

Diese Adresse ist exemplarisch und kein von Azure bereitgestellter Resolver. Integrieren Sie die Einträge in die vorhandene Konfiguration, statt ein zweites clientconfig-Element einzufügen, denn Microsoft gibt an, dass doppelte Elemente unter macOS nicht unterstützt werden. Generierte Profile können an der Stelle der echten Konfiguration auch einen nil-Platzhalter enthalten, und Einstellungen neben einem nil-Element anzuhängen ist keine Reparatur.

Der Import ist die Änderung

Das Speichern der Datei ändert für sich genommen nichts. Öffnen Sie den Azure VPN Client, wählen Sie Import, wählen Sie die geänderte XML, füllen Sie erforderliche Felder aus und speichern Sie die Verbindung.

Verbinden Sie danach über diese importierte Verbindung neu. Ein Profil auf der Platte, während eine ältere Verbindung aktiv bleibt, ist der häufigste Grund, warum eine korrekte Änderung wirkungslos erscheint.

Die Suffix-Einschränkung entscheidet über den ersten Test

Wie am 30. Oktober 2026 dokumentiert, bleiben zusätzliche DNS-Suffixwerte in dieser Konfiguration unter macOS nicht korrekt erhalten. Ein Windows-Suffixbeispiel zu kopieren und identisches Verhalten zu versprechen, ist der Weg, auf dem ein funktionierender Resolver als defekt gemeldet wird. Tragen Sie die Suffixe ein, speichern Sie, verbinden Sie neu und prüfen Sie, ob sie das Wiederverbinden überstanden haben. Wenn nicht, planen Sie mit vollständig qualifizierten Namen, statt mit dem Client zu kämpfen.

Testen Sie zuerst mit einem vollständig qualifizierten privaten Hostnamen. Wenn der FQDN aufgelöst wird und der kurze Name nicht, haben Sie etwas Konkretes gelernt: Der Resolver ist erreichbar, und die Kurznamen-Erweiterung fehlt. Das ist ein anderer Defekt als ein nicht erreichbarer DNS-Server und braucht einen anderen Zuständigen.

Der Resolver braucht trotzdem einen Pfad

Eine Adresse in der XML aufzuführen, erzeugt keinen DNS-Dienst. Auf der Adresse muss ein autorisierter Resolver laufen, der den privaten Namensraum beantworten oder weiterleiten kann, und der Mac muss ihn durch den Tunnel erreichen dürfen. Steht dieser Resolver hinter einer Firewall-Regel, die den Tunnelbereich nicht kennt, laufen Abfragen ohne brauchbare Fehlermeldung in den Timeout. Der Timeout sieht dann genau wie eine falsche Adresse aus, und man bearbeitet die XML eine Stunde lang erneut.

Prüfen Sie den aktiven Resolver-Zustand des verbundenen Macs und fragen Sie anschließend diesen Server direkt, um seine Antwort von der Resolver-Wahl der Anwendung zu trennen. Eine direkte Abfrage belegt, dass der Server funktioniert. Sie belegt nicht, dass gewöhnliche Lookups ihn wählen.

Drei getrennte Ergebnisse übergeben

Halten Sie diese bei der Übergabe getrennt: Das geänderte Profil wurde importiert, der vorgesehene Resolver hat den angefragten Namen beantwortet, und die Anwendung hat die zurückgegebene Adresse erreicht. Jedes hat einen anderen Zuständigen und eine andere Lösung.

Eine Zeile pro Ergebnis genügt, und sie hindert die nächste Person daran, ein bereits korrektes Profil erneut zu bearbeiten.

Ähnliche Artikel